Microsoft Windows AD データを収集する

このドキュメントには、次の情報が含まれています。

• デプロイ アーキテクチャとインストール手順、さらに Microsoft Windows Active Directory イベントに対して Google Security Operations パーサーがサポートするログを生成するために必要な構成。Google Security Operations のデータ取り込みの概要については、Google Security Operations へのデータの取り込みをご覧ください。
• パーサーが元のログのフィールドを Google Security Operations Unified Data Model フィールドにマッピングする方法に関する情報。

このドキュメントの情報は、WINDOWS_AD 取り込みラベルを持つパーサーに適用されます。 取り込みラベルは、未加工ログデータを構造化 UDM 形式に正規化するパーサーを識別します。

準備

推奨されるデプロイ アーキテクチャを確認する

この図は、Microsoft Windows イベントを収集して Google Security Operations に送信するデプロイ アーキテクチャで推奨される基本コンポーネントを示しています。この情報とお客様の環境を比較して、これらのコンポーネントがインストールされていることを確認してください。それぞれのお客様のデプロイはこの表現とは異なり、より複雑になる場合があります。以下が必須です。

• デプロイ アーキテクチャのすべてのシステムは、UTC タイムゾーンで構成されています。
• PowerShell スクリプトは、Microsoft Windows AD サーバーごとに作成、構成され、USER_CONTEXT と ASSET_CONTEXT のデータを収集します。
• NXLog は、各 Microsoft Windows AD サーバーにインストールされ、中央の Microsoft Windows または Linux サーバーにデータを送信します。

• Google Security Operations フォワーダーは、中央の Microsoft Windows または Linux サーバーにインストールされ、ログデータを Google Security Operations に転送します。

  

サポートされているデバイスとバージョンを確認する

Google Security Operations パーサーは、次の Microsoft Windows サーバー バージョンのログをサポートしています。 Microsoft Windows Server は、Foundation、Essentials、Standard、Datacenter でリリースされています。各エディションによって生成されたログのイベント スキーマは変わりません。

• Microsoft Windows Server 2019
• Microsoft Windows Server 2016
• Microsoft Windows Server 2012

Google Security Operations パーサーは、NXLog Community または Enterprise エディションによって収集されたログをサポートします。

サポートされているログタイプを確認する

Google Security Operations パーサーは、ユーザー コンテキストとアセット コンテキストから取得したデータを解析し、正規化します。英語のテキストで生成されたログは、英語以外の言語で生成されたログではサポートされません。

Microsoft Windows AD サーバーを構成する

デプロイ アーキテクチャで Microsoft Windows AD サーバーを構成する手順:

1. すべてのシステムを UTC タイムゾーンで構成します。
2. 各 Microsoft Windows Active Directory サーバーで、ログデータを出力ファイルに収集する PowerShell スクリプトを作成して構成します。NXLog は、出力ファイルを読み取り、中央の Microsoft Windows または Linux サーバーにデータを送信します。

3. PowerShell スクリプトを作成します。次の例をご覧ください。$OUTPUT_FILENAME の値を出力ファイルを書き込む場所に変更します。このファイルは NXLog によって読み取られます。データは JSON 形式で保存する必要があります。エンコードを utf8 に設定します。Get-ADUser と Get-ADComputer コマンドレットを呼び出すときは、-LDAPFilter パラメータではなく、-Filter パラメータを使用します。

   # Set the location where the log file will be written
   $OUTPUT_FILENAME="<Path_of_the_output_file>"
   
   If (Test-Path -Path $OUTPUT_FILENAME) { Remove-Item -path $OUTPUT_FILENAME -ErrorAction SilentlyContinue}
   
   # USER_CONTEXT: Gets all Active Directory users and their properties.
   Get-ADUser -Filter * -properties samAccountName | % { Get-ADUser $_.SamAccountName -properties * | ConvertTo-JSON -compress | Out-File -encoding utf8 $OUTPUT_FILENAME -Append }
   
   # ASSET_CONTEXT: Gets all Active Directory assets and their properties.
   Get-ADComputer -Filter * -properties samAccountName | % { Get-ADComputer $_.SamAccountName -properties * | ConvertTo-JSON -compress | Out-File -encoding utf8 $OUTPUT_FILENAME -Append }
   

4. 繰り返しスクリプトを作成して、スクリプトを実行し、出力ファイルにデータを取得して書き込みます。

   1. タスク スケジューラ アプリケーションを開きます。
   2. [タスクを作成] をクリックします。
   3. カタログの名前と説明を入力します。
   4. [最も高い権限で実行] チェックボックスをオンにして、すべてのデータが取得されるようにします。
   5. [トリガー] タブで、タスクを繰り返すタイミングを定義します。
   6. [アクション] タブで、新しいアクションを追加し、スクリプトを保存するファイルのパスを指定します。

5. 各 Microsoft Windows Active Directory サーバーに NXLog エージェントをインストールします。 このアプリケーションは、中央の Microsoft Windows または Linux サーバーにログを転送します。NXLog のドキュメントに従ってください。

6. NXLog インスタンスごとに構成ファイルを作成します。NXLog im_file モジュールを使用して、ファイルから読み取り、行をフィールドにパースします。 om_tcp モジュールを使用して、中央の Microsoft Windows または Linux サーバーにデータを転送します。

   NXLog 構成の例を次に示します。<hostname> と <port> の値は、転送先の中央の Microsoft Windows または Linux サーバーに関する情報に置き換えます。<Input in_adcontext> セクションと File プロパティで、PowerShell スクリプトによって書き込まれた出力ログファイルのパスを追加します。常に DirCheckInterval と PollInterval を設定します。これらが定義されていない場合、NXLog は 1 秒ごとにファイルをポーリングします。

   define ROOT C:\Program Files\nxlog
   define ADCONTEXT_OUTPUT_DESTINATION_ADDRESS <hostname>
   define ADCONTEXT_OUTPUT_DESTINATION_PORT <port>
   
   Moduledir   %ROOT%\modules
   CacheDir    %ROOT%\data
   Pidfile     %ROOT%\data\nxlog.pid
   SpoolDir    %ROOT%\data
   LogFile     %ROOT%\data\nxlog.log
   
   <Input in_adcontext>
       Module im_file
       File "<Path_of_the_output_file>"
       DirCheckInterval 3600
       PollInterval 3600
   </Input>
   
   <Output out_chronicle_adcontext>
       Module  om_tcp
       Host    %ADCONTEXT_OUTPUT_DESTINATION_ADDRESS%
       Port    %ADCONTEXT_OUTPUT_DESTINATION_PORT%
   </Output>
   
   <Route ad_context_to_chronicle>
       Path in_adcontext => out_chronicle_adcontext
   </Route>
   

7. 各システムで NXLog サービスを起動します。

中央の Microsoft Windows または Linux サーバーを構成する

フォワーダーのインストールと構成については、Linux でのフォワーダーのインストールと構成または Microsoft Windows でのフォワーダーのインストールと構成をご覧ください。

1. UTC タイムゾーンでシステムを構成します。
2. 中央の Microsoft Windows または Linux サーバーに Google Security Operations フォワーダーをインストールします。

3. Google Security Operations にログを送信するように Google Security Operations フォワーダーを構成します。フォワーダー構成の例を次に示します。

     - syslog:
         common:
           enabled: true
           data_type: WINDOWS_AD
           batch_n_seconds: 10
           batch_n_bytes: 1048576
         tcp_address: 0.0.0.0:10518
         connection_timeout_sec: 60
   

フィールド マッピング リファレンス: デバイスログ フィールドから UDM フィールド

このセクションでは、パーサーが元のログフィールドを Unified Data Model フィールドにマッピングする方法について説明します。

ユーザー コンテキスト ログ

アセット コンテキスト ログ